CVE-2026-62357

Dragonfly to magazyn danych w pamięci. Przed wersją 1.40 funkcja OpaqueObjLoader::CreateStream w src/server/rdb_load.cc może powiązać jeden streamNACK z globalnym PEL grupy konsumentów i lokalnym PEL konsumenta, a następnie zwolnić współdzielony obiekt, gdy zduplikowany wpis konsumenta zostanie odrzucony. Sprzątanie następnie zwalnia ten sam obiekt ponownie. W domyślnej konfiguracji, w której Dragonfly działa z wyłączonym uwierzytelnianiem, nieuwierzytelniony klient może wywołać double-free, wysyłając spreparowany serializowany strumień do RESTORE, powodując uszkodzenie alokatora, odmowę usługi i potencjalnie wykonanie kodu kontrolowanego przez atakującego jako konto usługi Dragonfly.

W systemie Dragonfly przed wersją 2.4.4-rc.3 domyślny nieuwierzytelniony przepływ gRPC v1 w schedulerze przyjmuje kontrolowane przez atakującego wartości PeerHost.Ip i PeerHost.DownPort przez RegisterPeerTask i ReportPeerResult. Wartości te trafiają do resource.Host, a następnie Peer.DownloadTinyFile() buduje żądanie HTTP GET bez walidacji celu, co pozwala na odczyt SSRF do usług loopback, link-local i prywatnych. Port DownPort jest ograniczony do zakresu 1024-65534, a odpowiedź do 128 bajtów może zostać umieszczona w Task.DirectPiece.

Dragonfly przed wersją 2.4.4 rejestruje GET /api/v1/oauth i GET /api/v1/oauth/:id bez jwt.MiddlewareFunc() i RBAC(), a handler zwraca rekordy models.Oauth z polem client_secret w JSON. Gdy administrator skonfigurował dostawcę OAuth GitHub lub Google, nieuwierzytelniony klient sieciowy może pobrać client_secret, identyfikator klienta i URL przekierowania dostawcy.